Cisco публикува актуализации за сигурност за уязвимост с висока степен на сериозност в софтуера Adaptive Security Appliance (ASA) и Firepower Threat Defense (FTD). Проблемът, проследяван като CVE-2026-76418, позволява на неавтентикиран отдалечен нападател да предизвика неочаквано рестартиране на засегнато устройство и отказ на услуга (DoS).
Компанията потвърждава, че нейният екип за реакция при инциденти със сигурността PSIRT е установил данни за активна експлоатация през октомври 2026 г. Cisco препоръчва на клиентите да преминат към коригирана версия възможно най-скоро.
Уязвимостта е оценена с 8,6 от 10 по CVSS 3.1, което я поставя в категорията с висока степен на сериозност. Основният риск е за наличността на защитните устройства и услугите, които зависят от тях.
Как работи уязвимостта
CVE-2026-76418 засяга услугата за отдалечен достъп през SSL VPN в ASA и FTD. Според официалното описание на Cisco проблемът произтича от логически грешки при конфигурирана вторична автентикация в тунелна група.
Нападателят може да изпрати специално изготвена заявка при свързване към SSL VPN услугата. При успешна експлоатация устройството се рестартира неочаквано, което води до отказ на услуга.
За да бъде засегната системата, конфигурацията трябва да съдържа ключовата дума webvpn и да има активиран SSL VPN поне на един интерфейс. Следователно не всяко устройство с ASA или FTD автоматично е уязвимо – значение имат конкретната софтуерна версия и конфигурацията.
Cisco не съобщава кои организации са били атакувани и не посочва извършителите. Компанията не е публикувала и индикатори за компрометиране, които да позволят на администраторите да идентифицират със сигурност атаки, свързани с тази уязвимост.
Над 51 000 устройства са изложени в интернет
Според данните на платформата Shadowserver, цитирани от BleepingComputer, в интернет са открити над 51 000 Cisco ASA SSL VPN устройства.
Тази стойност показва мащаба на публично достъпната инфраструктура, но не е равнозначна на броя на уязвимите устройства. Данните не установяват колко от системите използват засегнати версии, колко са актуализирани и колко от наблюдаваните устройства представляват honeypots – системи, използвани за наблюдение на злонамерена активност.
Въпреки това широкото разпространение на VPN услугите прави проверката на конфигурациите и версиите важна задача за организациите, които използват тези устройства за отдалечен достъп.
Актуализацията е основната препоръчана мярка
Cisco публикува корекции за засегнатите софтуерни версии и настоятелно препоръчва надграждане до подходящо коригирано издание. Администраторите трябва да се ръководят от официалното предупреждение, тъй като необходимата версия зависи от използвания клон на ASA или FTD.
Компанията посочва, че няма заобиколно решение, което да отстранява уязвимостта. Според информацията на BleepingComputer изключването на вторичната автентикация в стандартната тунелна група DefaultWEBVPNGroup или в съответната конфигурирана група може да се използва като временна мярка за ограничаване на риска, когато незабавната актуализация е невъзможна.
Тази промяна обаче трябва да бъде оценена внимателно, тъй като може да засегне начина, по който се удостоверяват потребителите. Тя не заменя инсталирането на корекцията.
Защо рискът не се изчерпва с рестартирането
Защитните стени и VPN шлюзовете са важна част от инфраструктурата за отдалечена работа и защитен достъп до корпоративни ресурси. Неочакваното рестартиране на такова устройство може да прекъсне връзките на служители и системи, да затрудни достъпа до бизнес приложения и да наруши работата на услуги, зависещи от защитената свързаност.
При организации, които разчитат на VPN за достъп до административни интерфейси, производствени системи или други критични ресурси, продължителните или повтарящи се прекъсвания могат да имат по-широки оперативни последствия.
Затова реакцията не трябва да се ограничава до инсталиране на актуализация. Администраторите следва да проверят конфигурацията, да проследят необичайните рестартирания и да прегледат журналите за подозрителни заявки към VPN услугата. Липсата на публикувани индикатори за компрометиране означава, че подобна проверка трябва да използва наличната телеметрия и останалите механизми за наблюдение на организацията.
Предишни атаки срещу Cisco не доказват общ извършител
Cisco и преди е отстранявала уязвимости в ASA и FTD, използвани за атаки срещу устройства с активирани VPN услуги. Сред тях са проблемите от 2025 г., свързани с кампанията ArcaneDoor, както и друга уязвимост за отказ на услуга, оповестена през август 2026 г.
Тези случаи подчертават интереса на нападателите към граничните мрежови устройства, но наличната информация не доказва връзка между тях и текущата експлоатация на CVE-2026-76418.
За организациите приоритетът е ясен: установяване на засегнатите системи, своевременно прилагане на корекциите и проверка за признаци на необичайна активност. При уязвимост, която се експлоатира активно и може да бъде задействана без автентикация, отлагането на актуализацията създава ненужен риск за непрекъсваемостта на услугите.
